Най-младата от петте дупки има номер от 2023. Най-старата - от 2015. Нападателите от съвета минават през стари дупки, а целят устройства, които организациите не следят отблизо.
Факт
Фактите: на 8 октомври 2026 г. CISA, FBI и NSA, заедно с NCSC на Великобритания, ACSC на Австралия, Cyber Centre на Канада, NPA и NCO на Япония, NCSC на Нова Зеландия и CNI на Испания, публикуваха съвет AA26-281A за Integrity Technology Group, китайска фирма за киберсигурност с връзки с китайското правителство. По съвета фирмата осигурява инструменти, инфраструктура (ботнети и VPN) и пробиви на нападатели, чиито техники CISA нарича съвместими с публично познатите Flax Typhoon, Ethereal Panda и Red Juliett; съветът уточнява и че тези нападатели може да вършат и дейност, несвързана с Integrity Tech. Целта са крайни устройства, които организациите не следят отблизо. В САЩ целите са в правителството, критичното производство, здравеопазването и информационните технологии, а също органи на реда, образование и религиозни организации, както и организации в Югоизточна Азия, Африка и Северна Америка. Техниките са сканиране, XSS, password spraying срещу Microsoft Exchange, SoftEther VPN за постоянен достъп и изнасяне на поща. Съветът изброява осем уязвимости, а същия ден CISA добави пет от тях в каталога на известните експлоатирани уязвимости (KEV): ISC BIND (CVE-2015-5477, отказ от услуга), ProFTPD, Apache Struts (CVE-2016-3081, изпълнение на команди), ONLYOFFICE Docs и Strapi (CVE-2023-22894; CISA отбелязва, че продуктът може да е с изчерпана поддръжка). Срокът за всичките пет е 11 октомври 2026 по директивата BOD 26-04; за четири от тях (без BIND) каталогът по същата директива изисква и криминалистична проверка дали системата вече е пробита. Използването им в ransomware кампании CISA отбелязва като неизвестно.
Кого описва съветът? Фирма, не група. Integrity Tech според CISA и FBI придобива или разработва инструменти, държи инфраструктура и пробива мрежи за други. Връзката с Flax Typhoon е в съвместимите техники, а съветът сам уточнява, че тези нападатели може да действат и извън Integrity Tech. Затова между двете имена не слагай знак за равенство.
Най-конкретното в съвета е как влизат и как остават. Пощата на Exchange, която нападателите налучкват с password spraying. SoftEther, истинска VPN програма, чийто инсталатор кръщават conhost.exe или dllhost.exe, за да прилича на нещо познато. Защитата на машините я хваща по-трудно, защото програмата е легитимна.
Същия ден, 8 октомври, Министерството на правосъдието на САЩ (DOJ) и FBI обявиха съдебно разрешени изземвания, които отрязват достъпа до два хакерски инструмента на Integrity Tech. По съдебните документи, които цитира DOJ, „Microscan" търси в мрежите на жертвите уязвимости, които клиентите на фирмата после да използват, а сканирането минава и през ботнет от устройства на интернета на нещата, заразени с вариант на Mirai. Сред целите му DOJ изброява електроенергийна компания в Южна Каролина, летища в Япония и Полша и тайвански компании от критичната инфраструктура за природен газ и електроенергия. „FishHub" влиза през spear phishing, после сваля в мрежата още зловреден код: за отдалечен достъп или за търсене на файлове, които праща към сървъри под контрола на фирмата. Сред потвърдените му жертви са около 20 тайвански университета.
Сред иззетите домейни DOJ назовава c0cc[.]cc, през който фирмата е стигала до Microscan, и пет, които са помагали за доставката на зловредния код на FishHub: 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com и linkedinns[.]net. Потърси ги в DNS логовете си. По думите на DOJ това е второто публично техническо прекъсване на хакерската инфраструктура на Integrity Tech. Първото е от септември 2024: тогава DOJ обяви съдебно разрешено прекъсване на Mirai ботнета на фирмата, с над 200 000 потребителски устройства в САЩ и по света.
Дупката е стара само за този, който я е закърпил.
Срокът е 11 октомври, неделя, три дни след обявата. Важи за гражданските федерални агенции в САЩ по директивата BOD 26-04; за всички останали е сигнал, не задължение.
Държиш ли BIND, ProFTPD, Struts, ONLYOFFICE Docs или Strapi, виж версиите днес и потърси следи от вече станал пробив: съветът иска и двете. За Strapi CISA добавя в каталога, че продуктът може да е без поддръжка, и препоръчва да спреш да го ползваш или да минеш на поддържана версия. Ако нямаш нито един от петте, съветът започва от най-простото: изключи услугите и портовете, които не ползваш.
Източници
CISA - прессъобщение за Integrity Technology Group, 08.10.2026CISA - съвет AA26-281A, 08.10.2026CISA KEV (CVE-2015-5477, CVE-2016-3081, CVE-2023-22894), 08.10.2026CISA - BOD 26-04: Prioritizing Security Updates Based on Risk, 10.06.2026Министерството на правосъдието на САЩ (DOJ) - прессъобщение 26-1155 за изземването на Microscan и FishHub, 08.10.2026Визуалът към статията е генериран код-арт, без чужди изображения.